Мивары: 25 лет создания искусственного интеллекта - [57]

Подготовка специалистов по информационной безопасности, прежде всего, должна быть актуальной во времени, т.к. объективно постоянно происходят изменения, как в законодательстве, так и в области технических средств и возможностей программных комплексов. Если в учреждении образования есть свои курсы по информационной безопасности и защите ПДн, то целесообразно привлекать своих специалистов к участию в этой работе.

Для повышения конкурентоспособности современной России необходимо создание и внедрение инноваций [14]. Для защиты персональных данных можно применять инновационные продукты, например, на основе миварного подхода [72], который развивает основные идеи продукционного подхода для использования их в создании экспертных систем [328].

Отметим, что область информационной безопасности и защиты ПДн также обладают своей достаточно сильной спецификой [280]. Для правильного прочтения и понимания руководящих документов по защите персональных данных в области автоматизированной обработки необходимо совмещать знания в трех различных областях:

1) защита ПДн;

2) знание компьютерных технологий и

3) понимание особенностей бизнес-процессов в прикладной защищаемой области.

Так же очень важно разделять защиту своих сотрудников в рамках отделов кадров и обработку персональных данных клиентов или обучаемых. Необходимо понимать, что сам процесс защиты ИСПДн в учреждениях образования занимает не менее полугода при очень интенсивной работе. Кроме того, специфика образования в вузах может иметь весьма негативные последствия и повышение рисков большого количества жалоб в органы контроля (Роскомнадзор, ФСТЭК России и ФСБ России) от "обиженных" студентов или сотрудников по малейшим поводам.

Практический опыт обучения и оказания услуг по защите ПДн показывает, что можно выделить некоторые общие моменты [280], собранные в виде основных положений «Порядка организации обеспечения безопасности ПДн», который применяется и при обучении, и при проведении мероприятий по защите ПДн. С учетом того, что более 70 % угроз безопасности ПДн реализуется самими работниками ИСПДн, так называемые внутренние угрозы, обучение всех работников ИСПДн является наиболее важным и обязательным условием защиты ПДн в любых организациях.

6.7.2. Этапы построения систем защиты персональных данных

Построение системы защиты персональных данных (СЗПДн) целесообразно разделить на пять основных этапов [280]:

1. предпроектное обследование и разработка основных параметров СЗПДн;

2. разработка документов: Частная модель угроз и Техническое задание на создание СЗПДн;

3. проектирование СЗПДн;

4. создание СЗПДн;

5. ввод в действие СЗПДн и оценка соответствия ИСПДн требованиям по защите ПДн.

Дополнительно рекомендуется провести следующие работы:

1. сопровождение ИСПДн и организационно-техническая поддержка;

2. согласование документов по СЗПДн с ФСТЭК России;

3. обучение персонала ИСПДн защите ПДн.

Каждый проект по защите ПДн включает в себя этапы: проведение предварительного обследования ИСПДн Заказчика; определение перечня ИСПДн Заказчика, их границ и характеристик; определение актуальных угроз; правильная и оптимальная классификация ИСПДн Заказчика согласно руководящим документам; создание СЗПДн.

В настоящее время в руководящих документах присутствует некая неоднозначность по вопросам классификации ИСПДн. Например, при делении на типовые и специальные рекомендуется, согласно официальной позиции ФСТЭК России, сначала определить класс своей ИСПДн по типовым требованиям, а затем добавить дополнительные требования по специальной схеме.

6.7.3. Использование экспертных систем и специфика предметной области

Для создания СЗПДн необходимо учитывать огромные объемы информации, которые могут быть собраны в экспертных системах [280, 50]. Рассмотрим специфику и особенности создания СЗПДн.

При создании СЗПДн, как правило, решают следующие задачи [280]:

· выделение и описание бизнес-процессов и ИСПДн;

· оценка состояния существующей СЗПДн, ее адекватности требованиям нормативно-правовых документов;

· разработка или согласование перечня персональных данных, обрабатываемых у Заказчика, и перечня подразделений и работников Заказчика, допущенных к такой обработке;

· разработка или согласование перечня ИСПДн и проведение их категоризации;

· разработка Частной модели угроз безопасности ПДн при их обработке в ИСПДн;

· разработка, при выявлении такой необходимости, Модели нарушителя и проекта Уведомления Роскомнадзора;

· разработка рекомендаций по оптимизации бизнес-процессов автоматизированной обработки ПДн (позволяет обоснованно снизить стоимость и сроки создания СЗПДн);

· разработка Технического задания на создание СЗПДн;

· разработка технического проекта в соответствии с требованиями Технического задания на разработку СЗПДн.

Кроме того, при создании СЗПДн необходимо разработать мероприятия по защите информации, документы, регламентирующие вопросы организации обеспечения безопасности ПДн и эксплуатации СЗПДн в ИСПДн. После этого можно ввести в действие ИСПДн и ее СЗПДн, оценить соответствие ИСПДн требованиям безопасности ПДн (декларация соответствия требованиям регуляторов или аттестация).